고객사 보안 요구사항 체크리스트 양식을 무료로 다운로드할 수 있습니다. 정보보호 관리체계와 정책, 인적 보안, 외부자와 재위탁 보안, 계정과 접근권한 관리, 네트워크 접근통제, 암호화, 접속기록, 개발 보안, 물리적 보안, 개인정보 보호, 침해사고 대응까지 열한 개 통제 영역으로 구성했습니다.
고객사 보안 요구사항 체크리스트 양식
고객사 보안 요구사항 체크리스트는 SI 납품이나 위탁 개발을 맡은 공급사(수탁사)가 고객사(위탁사)의 보안 요구사항을 충족하고 있는지 통제 영역별로 점검하고 확인하는 서식이에요.
정보보호 관리체계 인증기준인 ISMS-P, 국제 표준인 ISO 27001 부속서 A 통제항목, 개인정보의 안전성 확보조치 기준을 참고해 접근통제, 암호화, 접속기록 관리, 개인정보 보호 같은 핵심 통제 영역을 근거 있게 담았어요.
공급사가 스스로 점검하거나 고객사가 현장에서 점검할 때 모두 쓸 수 있습니다.
점검 항목이 많아 엑셀로 정리하고 관리하고 싶다면 관리대장도 함께 받으실 수 있어요. 요구사항마다 충족 여부를 드롭다운으로 고를 수 있고, 개선 조치 이력도 따로 기록할 수 있습니다.
내용을 자유롭게 수정해서 사용할 수 있고, 출력해서 수기로 작성하고 싶다면 다운로드 후 인쇄해서 그대로 활용하시면 됩니다.
고객사 보안 요구사항 체크리스트란
고객사 보안 요구사항 체크리스트는 고객사가 요구하는 정보보안 통제를 항목별로 나열하고, 공급사가 각 항목을 충족하는지 충족, 부분충족, 미충족으로 표시하는 점검표예요. 계약을 맺기 전에 공급사의 보안 수준을 확인하거나, 프로젝트 진행 중에 보안 준수 상태를 점검할 때 근거 자료로 활용합니다.
특히 개인정보를 위탁받아 처리하는 경우에는 개인정보보호법이 요구하는 안전성 확보조치를 충족했는지 확인하는 도구가 되기도 해요.
어떤 경우에 사용하나요
주로 SI 구축, 소프트웨어 개발, 시스템 유지보수처럼 외부 업체에 업무를 위탁하는 상황에서 사용해요. 고객사는 계약 상대방이 최소한의 보안 수준을 갖췄는지 확인하고 싶어 하고, 공급사는 자신이 어떤 요구사항을 충족해야 하는지 미리 파악하고 싶어 하거든요.
개인정보를 다루는 위탁이라면 위탁사가 수탁사를 정기적으로 점검할 의무가 있어서, 이 체크리스트가 점검 근거로 쓰이기도 합니다.
주요 통제 영역
이 양식은 열한 개 통제 영역으로 구성돼 있어요. 정보보호 관리체계와 정책, 인적 보안과 보안서약, 외부자와 재위탁 보안, 계정과 접근권한 관리, 네트워크 접근통제와 망분리, 암호화, 시스템과 운영 보안 그리고 접속기록, 개발 보안과 시큐어코딩, 물리적 보안, 개인정보 보호, 마지막으로 침해사고 대응과 백업, 재해복구까지 담았습니다.
각 영역 아래에는 실제 점검에서 자주 확인하는 세부 요구사항을 넣어 두었어요.
작성 방법
먼저 평가 개요에 계약명과 대상 시스템, 점검 기준일, 점검 방식을 적고 공급사와 고객사 정보를 채워요. 그다음 통제 영역별로 각 요구사항을 읽고 충족, 부분충족, 미충족 가운데 하나에 표시합니다.
이때 근거자료란에는 그 판단을 뒷받침하는 정책 문서나 로그, 점검 기록의 이름이나 위치를 함께 적어 두면 좋아요. 마지막으로 종합 판정에서 충족률과 적합 여부를 정리하고, 개선이 필요한 항목은 조치 기한과 함께 남긴 뒤 양측이 서명하면 됩니다.
작성 시 주의사항
충족 여부는 반드시 실제 증적자료를 근거로 판단해야 해요. 서류상으로만 갖춰 두고 실제로 운영하지 않으면 부분충족이나 미충족으로 보는 것이 맞습니다.
또 고객사의 산업과 계약 성격, 처리하는 정보의 민감도에 따라 요구되는 통제 수준이 달라지기 때문에, 실제 요구사항에 맞게 항목을 더하거나 빼서 사용하는 것이 좋아요. 개인정보를 위탁받아 처리한다면 개인정보보호법의 안전성 확보조치 의무는 빠짐없이 충족해야 합니다.
Q&A
고객사 보안 요구사항 체크리스트와 정보보안 감사 점검표는 어떻게 다른가요
고객사 보안 요구사항 체크리스트는 위탁 관계에서 공급사가 고객사의 요구사항을 충족하는지 확인하는 데 초점이 있어요. 기관이 내부 보안 상태를 스스로 점검하는 일반적인 정보보안 감사 점검표와 달리, 계약 상대방에게 요구하고 그 충족 여부를 확인하는 관점으로 구성돼 있습니다.
충족과 부분충족은 어떤 기준으로 구분하나요
충족은 해당 요구사항을 이행하고 있고 증적자료로 확인되는 경우이고, 부분충족은 일부만 이행하고 있거나 이행 중이어서 보완이 필요한 경우예요. 판단이 애매할 때는 부분충족으로 표시하고 근거자료란에 현재 상태를 적어 두면 이후 재점검할 때 도움이 됩니다.
개인정보를 다루지 않는 프로젝트에도 개인정보 보호 항목이 필요한가요
개인정보를 전혀 처리하지 않는 프로젝트라면 개인정보 보호 영역은 해당없음으로 표시하고 그 사유를 비고에 적으면 돼요. 다만 계약 중간에 개인정보를 다루게 될 가능성이 있다면 미리 항목을 남겨 두고 점검하는 편이 안전합니다.
재위탁(하도급)을 줄 때 특별히 확인해야 할 항목이 있나요
재위탁을 줄 때는 고객사의 사전 승인을 받았는지, 그리고 하도급 업체에도 동일한 수준의 보안 의무를 부과했는지를 반드시 확인해야 해요. 외부자와 재위탁 보안 영역에 이 내용이 들어 있으니 재위탁 계약서와 보안서약서를 근거자료로 함께 확인하면 됩니다.
점검 결과에서 미충족 항목이 나오면 어떻게 처리하나요
미충족 항목은 개선 계획과 조치 기한을 정해 관리하고, 조치가 끝난 뒤 다시 점검하는 것이 좋아요. 관리대장의 개선 조치 이력 시트에 미충족 내용과 조치 계획, 완료일을 기록해 두면 사후에 이행 여부를 확인하기 편합니다.
마무리하며
고객사 보안 요구사항 체크리스트는 위탁 개발이나 SI 납품에서 공급사의 정보보안 통제 충족 여부를 통제 영역별로 확인해, 계약 전후의 보안 리스크를 미리 점검하게 해 주는 서식이에요.
본 양식은 라이선스집(licensezip.com)이 무료로 제공하는 참고용 서식입니다. 실제 계약이나 점검에 사용할 때는 고객사의 보안 요구사항과 관련 법령을 확인하고, 필요하면 정보보호 전문가의 자문을 받아 활용하시기 바랍니다. 본 양식의 사용으로 발생하는 결과에 대해서는 책임지지 않습니다.
